Plantillas gratuitas
Checklist de brechas NIS2
Repasa con tu equipo las diez medidas del artículo 21.2 de NIS2: responde cada pregunta, acordad un responsable y una fecha, y anota las evidencias que tenéis.
Cómo usarla
- 1Descarga el archivo para Excel o imprímelo.
- 2Rellena las columnas vacías con tu equipo o tus proveedores.
- 3Acordad responsables y fechas, y revisad de nuevo en unos meses.
Qué contiene: 10 elementos
(a) Análisis de riesgos y políticas de seguridad
¿Tienes un análisis de riesgos por escrito y una política de seguridad de la información aprobada por la dirección?
Primer paso: Haz una lista de tus sistemas importantes y lo que podría fallar en cada uno, y escribe una política de seguridad breve que apruebe la dirección.
(b) Gestión de incidentes
¿Sabes cómo detectar, gestionar y notificar un incidente de seguridad, incluido quién avisa a la autoridad?
Primer paso: Escribe un plan de incidentes de una página: quién decide, a quién llamar y los plazos de notificación de 24 horas, 72 horas y un mes.
(c) Continuidad del negocio y copias de seguridad
¿Tienes copias de seguridad probadas y un plan para seguir trabajando o recuperarte tras una caída grave?
Primer paso: Comprueba que las copias de los datos clave se guardan aparte, restaura una como prueba y escribe cómo seguirías trabajando sin tus sistemas principales.
(d) Seguridad de la cadena de suministro
¿Sabes de qué proveedores dependes y has revisado su seguridad?
Primer paso: Haz una lista de tus proveedores con lo que entregan y a qué datos acceden, y pide a los críticos pruebas de su seguridad.
(e) Seguridad en la adquisición, el desarrollo y el mantenimiento
¿La seguridad y la gestión de vulnerabilidades forman parte de cómo compras, desarrollas y actualizas tus sistemas?
Primer paso: Fija una regla para instalar las actualizaciones de seguridad en un plazo fijo y añade preguntas de seguridad al elegir software nuevo.
(f) Comprobar que las medidas funcionan
¿Compruebas con regularidad si tus medidas de seguridad funcionan de verdad?
Primer paso: Planifica una revisión o auditoría interna anual de tus medidas y anota lo que encontraste y corregiste.
(g) Ciberhigiene y formación
¿El personal y la dirección reciben formación periódica de concienciación en seguridad?
Primer paso: Haz una formación breve de concienciación para todos, incluida la dirección, y repítela cada año.
(h) Criptografía y cifrado
¿Tienes reglas sobre cuándo y cómo se cifran los datos?
Primer paso: Cifra portátiles, móviles y copias de seguridad, usa conexiones seguras en todas partes y escribe estas reglas.
(i) Personas, control de acceso y activos
¿Controlas quién accede a qué, mantienes una lista de activos y retiras los accesos cuando alguien se va?
Primer paso: Mantén una lista de dispositivos y sistemas, da acceso solo cuando haga falta y retíralo el mismo día en que alguien se va.
(j) Autenticación multifactor y comunicación segura
¿Está activada la autenticación multifactor en las cuentas importantes y tienes una forma segura de comunicarte en una emergencia?
Primer paso: Activa primero la autenticación multifactor en el correo, las cuentas de administración y el acceso remoto, y acordad un canal alternativo para emergencias.
| Medida | Pregunta | Primer paso | Estado (Sí / En parte / No) | Responsable | Evidencias | Fecha límite | Notas |
|---|---|---|---|---|---|---|---|
| (a) Análisis de riesgos y políticas de seguridad | ¿Tienes un análisis de riesgos por escrito y una política de seguridad de la información aprobada por la dirección? | Haz una lista de tus sistemas importantes y lo que podría fallar en cada uno, y escribe una política de seguridad breve que apruebe la dirección. | |||||
| (b) Gestión de incidentes | ¿Sabes cómo detectar, gestionar y notificar un incidente de seguridad, incluido quién avisa a la autoridad? | Escribe un plan de incidentes de una página: quién decide, a quién llamar y los plazos de notificación de 24 horas, 72 horas y un mes. | |||||
| (c) Continuidad del negocio y copias de seguridad | ¿Tienes copias de seguridad probadas y un plan para seguir trabajando o recuperarte tras una caída grave? | Comprueba que las copias de los datos clave se guardan aparte, restaura una como prueba y escribe cómo seguirías trabajando sin tus sistemas principales. | |||||
| (d) Seguridad de la cadena de suministro | ¿Sabes de qué proveedores dependes y has revisado su seguridad? | Haz una lista de tus proveedores con lo que entregan y a qué datos acceden, y pide a los críticos pruebas de su seguridad. | |||||
| (e) Seguridad en la adquisición, el desarrollo y el mantenimiento | ¿La seguridad y la gestión de vulnerabilidades forman parte de cómo compras, desarrollas y actualizas tus sistemas? | Fija una regla para instalar las actualizaciones de seguridad en un plazo fijo y añade preguntas de seguridad al elegir software nuevo. | |||||
| (f) Comprobar que las medidas funcionan | ¿Compruebas con regularidad si tus medidas de seguridad funcionan de verdad? | Planifica una revisión o auditoría interna anual de tus medidas y anota lo que encontraste y corregiste. | |||||
| (g) Ciberhigiene y formación | ¿El personal y la dirección reciben formación periódica de concienciación en seguridad? | Haz una formación breve de concienciación para todos, incluida la dirección, y repítela cada año. | |||||
| (h) Criptografía y cifrado | ¿Tienes reglas sobre cuándo y cómo se cifran los datos? | Cifra portátiles, móviles y copias de seguridad, usa conexiones seguras en todas partes y escribe estas reglas. | |||||
| (i) Personas, control de acceso y activos | ¿Controlas quién accede a qué, mantienes una lista de activos y retiras los accesos cuando alguien se va? | Mantén una lista de dispositivos y sistemas, da acceso solo cuando haga falta y retíralo el mismo día en que alguien se va. | |||||
| (j) Autenticación multifactor y comunicación segura | ¿Está activada la autenticación multifactor en las cuentas importantes y tienes una forma segura de comunicarte en una emergencia? | Activa primero la autenticación multifactor en el correo, las cuentas de administración y el acceso remoto, y acordad un canal alternativo para emergencias. |
Una autoevaluación, no una auditoría: muestra por dónde empezar, no si cumples la ley. La ley NIS2 de tu país decide los detalles.
Hazlo en CloudSignLab
Sigue las diez medidas con responsables, evidencias y una puntuación de preparación, siempre al día.
Recibe nuevas plantillas y noticias sobre NIS2
Opcional: te escribimos cuando publicamos una nueva plantilla o guía. Primero confirmas por correo y puedes darte de baja cuando quieras.